Prawidłowa analiza logów i usług Sophos Endpoint w Windows

Sophos Endpoint w systemie Windows składa się z wielu komponentów ochrony, aktualizacji i komunikacji. Czerwony Health State nie oznacza więc automatycznie awarii całego agenta. Wiarygodna diagnostyka zaczyna się od przypisania objawu do komponentu, a następnie sprawdzenia wyłącznie jego logu w odpowiednim przedziale czasu.

Większość logów operacyjnych znajduje się w C:\ProgramData\Sophos. Logi instalacji są natomiast zwykle zapisane w C:\Windows\Temp, C:\Windows\SystemTemp albo w %TEMP% konta, które uruchomiło instalator. Od nowszych wersji Core Agent niektóre logi interfejsu użytkownika znajdują się w %LOCALAPPDATA%.

Szybki przebieg:

1. Zanotuj czas zdarzenia, strefę czasową i widoczny objaw.
2. W Sophos Endpoint Agent > About > Open Endpoint Self Help Tool sprawdź najpierw Services i Components.
3. Zanotuj platformę, wersję Core Agent i zainstalowane komponenty; licencja i Agent Mode określają oczekiwany stan.
4. Wybierz odpowiedni log poniżej i czytaj od pierwszego istotnego błędu.
5. Po korekcie odśwież Self Help i powtórz ten sam test. Do eskalacji zachowaj również SDU z tego samego przedziału czasu.

W obszarze Computer details > Status Central rozdziela ogólny stan na Communication, Operations, Services, System, Threat i Update. Szczegóły Good, Warning, Bad oraz Info mogą różnić się zależnie od systemu operacyjnego i wersji agenta. Dlatego zawsze powiąż kategorię z problemem z dokładnym komponentem w Endpoint Self Help, zamiast wnioskować o awarii usługi wyłącznie na podstawie ogólnego koloru.

Od objawu do właściwego logu

Nazwy plików i przypisanie usług mogą zmieniać się wraz z wersją Core Agent. Przed oceną porównaj wersję zainstalowanego pakietu z omówieniem aktualizacji Sophos Endpoint i zmian komponentów; w samej diagnostyce kieruj się komponentami właściwymi dla zainstalowanej wersji i plikami rzeczywiście obecnymi na danym urządzeniu.

Updates i AutoUpdate

SophosUpdate.log jest najważniejszym logiem rzeczywistego procesu Update. W aktualnych wspieranych wersjach Windows sau-service.log pokazuje, kiedy Central albo zmieniona Update lub Communication Policy uruchomiła aktualizację. SophosLaunchUpdate.log dokumentuje rozpoczęcie procesu Update.

Błędu Update nie ocenia się wyłącznie na podstawie ostatniego wiersza Error. Najpierw należy sprawdzić:

1. jaki Update Target był rzeczywiście używany,
2. czy uczestniczył dostęp bezpośredni, proxy albo Update Cache,
3. który błąd HTTP lub TLS wystąpił jako pierwszy,
4. czy ten sam czas jest widoczny w logu Firewall lub proxy.

Nieprawidłowe wpisy w pliku Windows Hosts mogą kierować cele Sophos pod błędny adres. Przy powtarzalnych błędach należy porównać SophosUpdate.log, DNS, proxy i równoczesny Packet Capture.

Klasyczna usługa Sophos AutoUpdate Service nie występuje już na nowoczesnym Windows. Jeśli brakuje jej na wyraźnie wspieranej platformie Legacy, napraw z prawami administratora buforowany AutoUpdate MSI i ponownie uruchom About > Update Now. Tej starej procedury MSI nie stosuje się na Windows 10 x64, Windows Server 2016 ani nowszych.

Komunikacja z Central i Policies

Sophos MCS Client utrzymuje połączenie z Sophos Fusion (dawniej Sophos Central). McsClient.log odpowiada na pytanie, czy Endpoint dociera do Central. McsAgent.log pokazuje następnie przetworzone Policies i polecenia. Aktualny czas Last Active w Central jest dobrym wskaźnikiem działania MCS, ale jest aktualizowany najwyżej mniej więcej raz na godzinę.

Przy błędzie komunikacji należy sprawdzić Broker Address, DNS, routing, proxy i Firewall. Po poprawieniu konfiguracji można ponownie uruchomić usługę Sophos MCS Client i odświeżyć Endpoint Self Help. Tamper Protection wyłącza się tylko wtedy, gdy wymaga tego konkretna operacja.

Ochrona, blokady i Cleanup

sed.log jest głównym logiem operacyjnym Sophos Endpoint Defense. Zawiera między innymi dostęp do chronionych kluczy Registry, procesów i plików oraz zablokowane akcje. seds.log pomaga ustalić, czy sterowniki i usługa zostały załadowane.

Dla procesu usuwania zagrożeń istotne są SophosCleanup.log i powiązane Scan_*.log. Pokazują wykryte zagrożenie, wykonaną akcję, kontrolę Safestore i czas trwania. Przed przywróceniem z Safestore należy ustalić, czy plik jest bezpieczny i dlaczego został wykryty.

Pojedynczy wpis w logu nie jest jeszcze podstawą do zezwolenia. Wyjątek tworzy się dopiero po sprawdzeniu pliku, wydawcy, hasha, reputacji i potrzeby biznesowej.

W Splashtop Streamer 3.5.6.0 liczne szybko rotujące i zmieniane logi mogą wypełnić kolejkę skanowania Sophos i zwiększyć CPU oraz RAM. Preferowana jest aktualizacja do 3.5.8.0 lub nowszej i restart. Tylko gdy to niemożliwe, oceń rzeczywistą ścieżkę logu jako wąski wyjątek dla grupy; globalne wykluczenie całego Splashtop jest zbyt szerokie.

Inną przyczyną wysokiego CPU SEDService.exe jest reguła Sysmon File Delete archiwizująca pliki .bin w C:\ProgramData\Sophos. sed.log wielokrotnie wskazuje wtedy archiwum Sysmon. Wyklucz tę strukturę z archiwizacji FileDelete Sysmon, a nie ze skanowania Sophos. Po przeładowaniu Sysmon SEDService.exe powinien przetworzyć otwarte dzienniki i obciążenie powinno spaść.

Prawidłowa ocena usług

Self Help rozróżnia Windows SCM Services i Sophos SCM Services. Tylko pierwsza grupa jest zarejestrowana w Windows Service Control Manager i widoczna w services.msc. Sophos SCM Services działają jako procesy, ale nie pojawiają się w tej konsoli. Na nowoczesnych platformach Sophos Live Query, Sophos Health Service i Sophos System Protection Service zostały przeniesione do drugiej grupy od Core Agent 2025.2. Sam brak wpisu w services.msc nie dowodzi więc błędu instalacji.

Sophos opisuje tę konsolidację w 2025.2.1 jako optymalizację wydajności. Diagnostyka musi jednak odpowiadać zainstalowanej wersji Core Agent i właściwemu artykułowi Self Help: bieżący artykuł Services jest wyraźnie przeznaczony dla Core Agent 2026.1, a inne pakiety mogą wymagać innego postępowania. Najpierw sprawdź stan w Self Help; narzędzie wskazuje też, czy usługą zarządza Windows SCM czy Sophos SCM. Procedury naprawcze wymagają praw administratora i wyłączonej Tamper Protection; nie wykonuj ich tylko dlatego, że stara lista usług wygląda inaczej.

W Core Agent 2025.x ten rzadki przypadek może wystąpić po nieudanym Windows 11 feature update z 23H2 do 24H2 lub 25H2 i rollbackiem. Równoczesny update DecisionCache może rozbieżnie ustawić rejestr i pliki. Endpoint staje się czerwony, System Protection nie startuje, a C:\ProgramData\Sophos\Endpoint Defense\Logs\SSP.log zgłasza brak Rules-Version.

Nie czekaj do 96 godzin bez System Protection. Tymczasowo przypisz Update Management Policy ze wspieranym pakietem FTS lub LTS. Usuń ją dopiero przy zielonym Health, działającym komponencie i aktualnym SSP logu. Ręczna korekta rejestru wymaga Tamper Protection Override, backupu i dokładnie zgodnego katalogu reguł.

Oficjalna lista komponentów i usług zawiera między innymi poniższe powiązania. Tabela pomaga w diagnostyce, ale nie jest pełną listą oczekiwanego stanu każdego urządzenia:

Wymagane komponenty zależą od platformy, Agent Mode i licencji. XDR Sensor instaluje na przykład komponenty telemetrii, ale nie pełną ochronę Sophos przed malware. Najpierw należy więc ustalić oczekiwany stan w Central, a dopiero potem porównać go z usługami i procesami.

Ochrona sieci i Web

SophosNetFilter.log zawiera połączenia z witrynami i akcje Web Control oraz kontroli internetowej w czasie rzeczywistym. SophosIPS.log pokazuje konfigurację i treści wykryć ochrony przed zagrożeniami sieciowymi. SntpService.log zawiera między innymi informacje o Isolation i innych funkcjach sieciowych.

Przy zablokowanej witrynie należy porównać czas, URL, proces i efektywną Policy. Na podstawie samego logu nie zawsze można rozpoznać, czy jako pierwsze zablokowały Endpoint Web Control, DNS Protection czy wcześniejszy Firewall. Te punkty kontroli sprawdza się osobno.

Interfejs użytkownika i Self Help

W aktualnych wersjach Core Agent pliki SophosUI.Net.log i SophosUITray.log znajdują się w:

%LOCALAPPDATA%\Sophos\Sophos UI\Logs

Dokumentują akcje w lokalnym interfejsie oraz przy ikonie na pasku zadań. Od Core Agent 2026.1 logi Self Help mogą być dodatkowo zapisywane dla użytkownika w %LOCALAPPDATA%\Sophos\Endpoint Self Help\Logs. Zależnie od komponentu nadal istotny jest również katalog komputera C:\ProgramData\Sophos\Endpoint Self Help\Logs.

Poprawna analiza logu

Przed otwarciem logu należy określić wąski przedział występowania błędu wraz ze strefą czasową. Następnie czyta się od pierwszego istotnego błędu w przód. Późniejsze błędy następcze, takie jak service unavailable, timeout albo component unhealthy, często są jedynie konsekwencjami.

Wiarygodna notatka zawiera:

• widoczny objaw i powtarzalny test,
• nazwę logu, timestamp i pierwszą istotną wiadomość,
• używaną ścieżkę Endpoint, proxy, Cache lub Relay,
• porównanie z działającym urządzeniem,
• przetestowaną zmianę i mierzalny wynik.

Poziomu logowania nie zwiększa się profilaktycznie na stałe. Szczegółowe logowanie MCS może zawierać wrażliwe dane komunikacyjne i zajmować dodatkowe miejsce. Należy je włączyć tylko na określony czas według aktualnej instrukcji Sophos, a następnie przywrócić standardowy poziom.

Sophos Support może zażądać diagnostic message trail dla MCS. Na Windows 10 x64 lub Server 2016 i nowszych jest on domyślnie aktywny od Core Agent 2023.2; kroki XML służące do jego włączenia i późniejszego wyłączenia dotyczą wyłącznie platform Legacy. Pliki trail mogą zawierać dane polityk i komunikacji, dlatego należy przekazać je bezpiecznie wraz z SDU. Po zebraniu danych wyłącz nagrywanie na platformie Legacy, ponieważ w przeciwnym razie może zapełnić dysk.

Zabezpieczenie logów dla Support

Pojedyncze logi pomagają w lokalnym zawężeniu problemu. Do eskalacji należy dodatkowo utworzyć pakiet SDU z tego samego przedziału czasu. Pakiet może zawierać Hostnames, użytkowników, ścieżki, adresy IP i dane konfiguracyjne, dlatego wymaga chronionego przesyłania.

Pełne zbieranie danych opisuje Diagnozowanie Sophos Endpoint za pomocą Self Help i SDU. Błędy instalacji są osobno omawiane w artykule Systematyczne rozwiązywanie problemów z instalacją Sophos Endpoint w Windows.

Często zadawane pytania